Análisis gratis
Mira lo que cualquiera ve de tu empresa en internet
Revisamos tu correo, tu dominio, tu sitio y tus servidores desde afuera, como lo haría un atacante. Sin registrarte y en un par de minutos.
Reconocimiento pasivo de tu dominio: DNS, correo, certificados, sitio, servicios expuestos y filtraciones. Solo fuentes públicas, sin registro.
- Solo miramos lo que está a la vista de todos. No entramos ni probamos nada en tus sistemas.
- El informe completo también es gratis: te llega a un correo de tu empresa.
- Cada dominio se analiza una vez por día.Si alguien ya analizó tu dominio hoy, ves ese mismo resultado. Así nadie puede usar el analizador para revisar un dominio ajeno una y otra vez.
taruma-pagos.exampleejemplo
- MedioCualquiera puede enviar correos haciéndose pasar por taruma-pagos.example
- BajoLas respuestas del DNS del dominio no están firmadas (DNSSEC)
- BajoEl correo que recibe la empresa puede viajar sin cifrar
que solo ve alguien de la empresa
Olfateando taruma-pagos.example
El Lop está revisando 10 áreas
Revisando el correo
- Correo de la empresaCorreo: SPF, DMARC y MTA-STS
- Configuración del dominioDNS: DNSSEC y CAA
- Datos del dominio y su vencimientoRegistro del dominio (RDAP)
- Certificados emitidosCertificate Transparency
- Subdominios olvidadosSubdominios huérfanos (CNAME colgados)
- Sitio webSitio: TLS, cabeceras y cookies
- Servidores a la vistaServicios expuestos (índices públicos)
- Contraseñas filtradasInfostealers y filtraciones
- Dominios que imitan al tuyoDominios parecidos (typosquatting)
- Listas negrasReputación (Google Web Risk)
Tarda entre 1 y 3 minutos. Puedes dejar esta pestaña abierta: el resultado aparece aquí.
Lo que cualquiera ve
taruma-pagos.example
Analizado 28 oct 202610 áreas revisadasSe actualiza una vez por día
Datos de ejemplo: Tarumá Pagos es una empresa inventada. Sus hallazgos salen de análisis reales.
- Medio
Cualquiera puede enviar correos haciéndose pasar por taruma-pagos.example
Alguien puede mandar correos con el nombre de tu empresa y que lleguen a la bandeja de entrada de tus clientes.
- Bajo
Las respuestas del DNS del dominio no están firmadas (DNSSEC)
Alguien podría desviar a otro lugar a quien escribe la dirección de tu sitio. Es poco común y se evita con un ajuste.
- Bajo
El correo que recibe la empresa puede viajar sin cifrar
Los correos que te mandan podrían leerse en el camino.
- Bajo
El sitio entrega cookies sin las protecciones básicas
Si aparece otra falla, las sesiones de tus usuarios quedan más expuestas.
- Bajo
Faltan las cabeceras de seguridad básicas del sitio
El navegador no recibe las instrucciones que frenan ataques comunes.
- Informativo
No hay restricción de quién puede emitir certificados para el dominio
Cualquier empresa de certificados puede emitir uno a nombre de tu dominio, no solo la que usas.
- Informativo
Nadie recibe los reportes de quién usa el nombre del dominio
Si alguien manda correos haciéndose pasar por tu empresa, nadie de la empresa se entera.
- Informativo
El sitio anuncia qué software y versión usa
Le ahorra trabajo a quien busca fallas conocidas de esa versión.
- Informativo
No hay un contacto publicado para avisar de fallas de seguridad
Si alguien encuentra una falla, no sabe a quién avisar.
- +5
que solo ve alguien de la empresa.
Informe completo, gratis
¿Trabajas en taruma-pagos.example?
Enviamos el informe completo solo a alguien de la empresa. Así tus fallas no llegan a manos de un desconocido.
Mi empresa no tiene correo @taruma-pagos.example
Pasa si usan Gmail u otro correo gratuito. Entonces lo demuestras agregando un dato a la configuración de tu dominio. Solo puede hacerlo quien administra el dominio, por eso nos sirve como prueba.Está en el panel de la empresa donde compraste o renuevas el dominio (por ejemplo GoDaddy, Hostinger, Namecheap o Cloudflare), en una sección llamada DNS o Zona DNS. Si no sabes quién lo maneja, suele ser quien hizo tu sitio.
- Tipo
- TXT
- NombreAlgunos paneles piden el nombre completo: _lop-verify.taruma-pagos.example. Otros agregan el dominio solos.
- _lop-verify
- ValorEs un código solo para tu dominio. No le da acceso a nadie a nada: solo prueba que alguien de la empresa lo puso. Cópialo tal cual, sin espacios.
- lop-verify=7f3k-9q2m-xa41
- Entra a la sección DNS del panel de tu dominio. Si no lo manejas tú, toca "Copiar las instrucciones" y pásaselas a quien hizo tu sitio.
- Agrega un registro nuevo con estos tres datos. No borres ni cambies los que ya están.
- Vuelve aquí y toca "Ya lo agregué". Suele verse en minutos; a veces tarda hasta una hora.
- Cuando lo vemos, te preguntamos a qué correo enviar el informe. Ahí sí puede ser Gmail u otro.
Cuando termine la verificación, puedes borrar el registro.
¿No puedes entrar al DNS? Hay otra forma
Sube a tu sitio un archivo de texto con el mismo código como único contenido, en esta dirección:
taruma-pagos.example/.well-known/lop-verify.txt
Quien hizo tu sitio lo resuelve en un par de minutos. Después vuelve aquí y toca "Ya lo agregué".
Verificado · ana@taruma-pagos.example
Todo lo que encontramos en taruma-pagos.example
14 hallazgos5 que antes no se veíanTe enviamos un enlace para volver durante 30 días
Datos de ejemplo: Tarumá Pagos es una empresa inventada. Sus hallazgos salen de análisis reales.
Hallazgos y cómo arreglarlos
Para quien hace los arreglos: cada hallazgo con sus pasos. PDF, 20 páginas
Descargar PDF
Resumen para dirección
Para quien decide: qué le puede costar a la empresa y qué pide la ley. PDF, 14 páginas
Descargar PDF
- Alto
Hay subdominios que apuntan a servicios que ya no existen · nuevo
Alguien puede quedarse con esos servicios y publicar lo que quiera con el nombre de tu empresa.
Cómo se arregla: Borrar los registros que apuntan a servicios dados de baja.
- Alto
Hay 3 equipos de empleados infectados con programas que roban contraseñas · nuevo
Sus contraseñas de trabajo ya circulan entre atacantes.
Cómo se arregla: Limpiar esos equipos y cambiar sus contraseñas hoy.
- Medio
El sitio carga librerías con fallas conocidas · nuevo
Hay ataques publicados que funcionan contra esas versiones.
Cómo se arregla: Actualizar las librerías marcadas.
- Medio
Hay dominios casi iguales al de la empresa listos para recibir y enviar correo · nuevo
Sirven para engañar a tus clientes con correos que parecen tuyos.
Cómo se arregla: Ver de quién es cada uno y avisar a tus clientes que nunca cambias datos bancarios por correo.
- Medio
Hay servicios abiertos a internet además del sitio · nuevo
Cada puerta abierta es un lugar más por donde intentar entrar.
Cómo se arregla: Cerrar lo que no tiene que estar a la vista de internet.
- Medio
Cualquiera puede enviar correos haciéndose pasar por taruma-pagos.example
Alguien puede mandar correos con el nombre de tu empresa y que lleguen a la bandeja de entrada de tus clientes.
Cómo se arregla: Publicar una política DMARC que rechace los correos que no salen de tus servidores.
- Bajo
Las respuestas del DNS del dominio no están firmadas (DNSSEC)
Alguien podría desviar a otro lugar a quien escribe la dirección de tu sitio. Es poco común y se evita con un ajuste.
Cómo se arregla: Activar DNSSEC en el panel del dominio.
- Bajo
El correo que recibe la empresa puede viajar sin cifrar
Los correos que te mandan podrían leerse en el camino.
Cómo se arregla: Exigir cifrado al recibir correo (MTA-STS).
- Bajo
El sitio entrega cookies sin las protecciones básicas
Si aparece otra falla, las sesiones de tus usuarios quedan más expuestas.
Cómo se arregla: Marcar las cookies como Secure, HttpOnly y SameSite.
- Bajo
Faltan las cabeceras de seguridad básicas del sitio
El navegador no recibe las instrucciones que frenan ataques comunes.
Cómo se arregla: Agregar las cabeceras de seguridad en el servidor.
- Informativo
No hay restricción de quién puede emitir certificados para el dominio
Cualquier empresa de certificados puede emitir uno a nombre de tu dominio, no solo la que usas.
Cómo se arregla: Agregar un registro CAA con tu proveedor de certificados.
- Informativo
Nadie recibe los reportes de quién usa el nombre del dominio
Si alguien manda correos haciéndose pasar por tu empresa, nadie de la empresa se entera.
Cómo se arregla: Poner una casilla para recibir los reportes de DMARC.
- Informativo
El sitio anuncia qué software y versión usa
Le ahorra trabajo a quien busca fallas conocidas de esa versión.
Cómo se arregla: Ocultar la versión en las respuestas del servidor.
- Informativo
No hay un contacto publicado para avisar de fallas de seguridad
Si alguien encuentra una falla, no sabe a quién avisar.
Cómo se arregla: Publicar un archivo security.txt con un correo de contacto.